Regolamento di esecuzione (UE) 2024/2690 (CIR): chi vincola e cosa richiede
Il regolamento di esecuzione (UE) 2024/2690 della Commissione, in breve CIR, stabilisce nel dettaglio come alcuni fornitori digitali mettono in atto le dieci misure di sicurezza della NIS2, e quando un incidente presso di loro è significativo. Si applica direttamente in ogni paese dell'UE, ma solo a undici tipi di fornitori, come cloud, data center e servizi gestiti. Per ogni altra azienda non è il metro di giudizio, solo un possibile riferimento.
Chi vincola il regolamento
L'articolo 1 indica undici tipi di soggetti. Il regolamento li chiama i “soggetti pertinenti”.
Art. 1 e 16 regolamento di esecuzione (UE) 2024/2690
- Fornitori di servizi DNS
- Registri dei nomi di dominio di primo livello
- Fornitori di servizi di cloud computing
- Fornitori di servizi di data center
- Fornitori di reti di distribuzione dei contenuti
- Fornitori di servizi gestiti
- Fornitori di servizi di sicurezza gestiti
- Fornitori di mercati online
- Fornitori di motori di ricerca online
- Fornitori di piattaforme di servizi di social network
- Prestatori di servizi fiduciari
È un regolamento, non una direttiva. Per questo si applica in ogni paese dell'UE senza una legge nazionale. È stato pubblicato nella Gazzetta ufficiale il 18 ottobre 2024 ed è entrato in vigore 20 giorni dopo.
Se un fornitore di questo tipo rientri nella NIS2 lo decidono la direttiva e la legge nazionale, in Germania il § 28 BSIG. Il regolamento dice solo come mette in atto esattamente le misure.
Cosa richiede l'allegato
L'allegato ha 13 sezioni. Ognuna corrisponde a una lettera dell'Art. 21(2) NIS 2 e contiene singoli requisiti numerati.
N. 1
Politica di sicurezza dei sistemi informatici e di rete
Un documento di politica che la direzione riesamina almeno una volta all'anno, più ruoli e responsabilità chiari.
N. 2
Politica di gestione dei rischi
Individuare, valutare e trattare i rischi. I risultati vengono riesaminati almeno una volta all'anno.
N. 3
Gestione degli incidenti
Rilevare, registrare, classificare, gestire e riesaminare gli incidenti.
N. 4
Continuità operativa e gestione delle crisi
Piani di emergenza, backup e ridondanza, gestione delle crisi.
N. 5
Sicurezza della catena di approvvigionamento
Una politica per i rapporti con i fornitori diretti e un registro di questi fornitori.
N. 6
Acquisizione, sviluppo e manutenzione
Sicurezza nell'acquisto e nello sviluppo dei sistemi, modifiche, test, aggiornamenti e gestione delle vulnerabilità.
N. 7
Valutare l'efficacia
Stabilire come verificare se le misure funzionano.
N. 8
Igiene informatica e formazione
Regole di base per tutti, sensibilizzazione e formazione, anche per la direzione.
N. 9
Crittografia
Una politica sulla cifratura, con la gestione delle chiavi.
N. 10
Sicurezza delle risorse umane
Responsabilità, verifiche ove opportuno e procedure per chi se ne va e per i cambi di ruolo.
N. 11
Controllo degli accessi
Diritti di accesso, account privilegiati, identificazione, autenticazione e, ove opportuno, più fattori (n. 11.7).
N. 12
Gestione degli asset
Un inventario dei sistemi e degli asset, la loro classificazione e il loro trattamento.
N. 13
Sicurezza ambientale e fisica
Protezione contro l'interruzione delle forniture, incendi e acqua, accesso fisico controllato.
Anche qui vale la proporzionalità: contano il rischio, le dimensioni e la probabilità e gravità degli incidenti (Art. 2(2)). Dove l'allegato dice “ove opportuno” e un fornitore non applica un requisito, documenta il perché in modo comprensibile.
Quando un incidente è significativo
Per i soggetti pertinenti il regolamento stabilisce quando un incidente è significativo e va quindi notificato. L'articolo 3 vale per tutti: per esempio una perdita finanziaria diretta superiore a 500.000 euro o al 5 per cento del fatturato annuo, a seconda di quale importo sia inferiore, l'esfiltrazione di segreti commerciali, o un accesso riuscito, sospettato come malevolo, che può causare una grave perturbazione operativa.
Se in sei mesi si verificano almeno due incidenti con la stessa causa apparente e insieme raggiungono la soglia della perdita finanziaria, contano insieme come significativi (articolo 4).
Gli articoli da 5 a 14 fissano soglie per tipo di fornitore. Un esempio: un servizio cloud completamente indisponibile per più di 30 minuti (articolo 7). La manutenzione programmata non conta.
Art. da 3 a 14 regolamento di esecuzione (UE) 2024/2690 · Art. 23(3) NIS 2
Come si rapporta al BSIG tedesco
Per gli undici tipi di fornitori, il regolamento prevale sulle misure del § 30 BSIG (§ 30(3) BSIG).
Non si applica a nessun'altra azienda. Le loro misure si misurano sul § 30 BSIG. La Commissione non ha ancora adottato un atto di esecuzione per tutti i soggetti (§ 30(4) BSIG).
Secondo il § 44(2) BSIG, l'IT-Grundschutz del BSI vale come adempimento del § 30 solo per gli enti dell'amministrazione federale. Per le aziende può strutturare il lavoro, ma non è una prova riconosciuta dalla legge.
§ 30(3) e (4) · § 44(2) BSIG
Cosa significa per un'azienda con 50-150 dipendenti
La maggior parte delle aziende di queste dimensioni, come produttori, imprese alimentari o imprese di gestione dei rifiuti, non appartiene a nessuno degli undici tipi. Il regolamento non le vincola. Misurano le loro misure sul § 30 BSIG.
Puoi leggere il regolamento come riferimento se vuoi vedere come appare una misura nel dettaglio. Non è un obbligo.
Se però la tua azienda è un fornitore di servizi IT che gestisce o amministra i sistemi dei suoi clienti, può essere un fornitore di servizi gestiti. Allora il regolamento ti si applica direttamente.
Un esempio
Due aziende inventate con 90 dipendenti ciascuna.
Un produttore di macchine per l'imballaggio: la costruzione di macchinari figura nell'allegato 2 del BSIG, quindi l'azienda è un soggetto importante. Il regolamento non la vincola. Riesamina la sua politica di sicurezza a un intervallo che sceglie da sé.
Un fornitore di servizi IT che gestisce server, reti e postazioni di lavoro per 200 clienti: è un fornitore di servizi gestiti. Il regolamento gli si applica direttamente.
Per il fornitore di servizi IT questo significa, tra l'altro: la direzione riesamina la politica di sicurezza almeno una volta all'anno, la valutazione dei rischi viene riesaminata almeno una volta all'anno e l'accesso ai suoi sistemi usa più fattori ove opportuno.
Se ha un incidente, verifica le soglie degli articoli 3 e 10 del regolamento prima di decidere se notificarlo.
Come lo fa il percorso guidato
Il percorso guidato su nisd2.eu copre ciò che il BSIG chiede a ogni soggetto, e conosce i fornitori a cui si applica il regolamento.
Ognuna delle dieci aree del § 30(2) BSIG diventa almeno un passo che compili.
Il passo sulla politica di sicurezza dice che, per i fornitori a cui si applica il regolamento, la politica viene riesaminata almeno una volta all'anno.
Se la tua azienda è registrata nelle infrastrutture digitali, nella gestione dei servizi TIC o nei fornitori digitali, ogni requisito resta aperto per te con i dettagli del regolamento, anche quando il percorso guidato ha completato la parte dovuta da ogni soggetto.
Alla fine la direzione approva i documenti nell'app, accedendo con il proprio account.
Domande frequenti
Che cos'è il CIR 2024/2690?
Il regolamento di esecuzione (UE) 2024/2690 della Commissione del 17 ottobre 2024. Per undici tipi di fornitori digitali stabilisce i requisiti tecnici e metodologici delle misure dell'Art. 21(2) NIS 2 e precisa quando un incidente presso di loro è significativo.
Il regolamento si applica alla mia azienda?
Solo se è uno degli undici tipi dell'articolo 1, come cloud, data center o servizi gestiti, e rientra nella NIS2 in base alla legge nazionale. A nessun altro si applica.
Il regolamento deve essere recepito nel diritto nazionale?
No. Essendo un regolamento si applica direttamente in ogni paese dell'UE. In Germania il BSIG gli dà la precedenza per i fornitori pertinenti (§ 30(3) BSIG).
Quante sezioni ha l'allegato?
13. Seguono le lettere da a) a j) dell'Art. 21(2) NIS 2. Il controllo degli accessi (n. 11), per esempio, contiene l'autenticazione a più fattori (n. 11.7).
Basta un certificato ISO 27001?
Il regolamento si basa tra l'altro su ISO/IEC 27001 e 27002 (considerando). Un certificato però non sostituisce i suoi requisiti. Verifica ogni requisito dell'allegato singolarmente.
Fonti
- Regolamento di esecuzione (UE) 2024/2690 della Commissione del 17 ottobre 2024, GU L, 2024/2690, 18 ottobre 2024, EUR-Lex
- Direttiva (UE) 2022/2555 (NIS 2), Art. 21 e 23, EUR-Lex
- Legge sul BSI (BSIG) §§ 28, 30, 44, gesetze-im-internet.de/bsig_2025
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Risk Management
Write the security policy
A short policy that management approves.
Authentication & Communications
Record where a second factor protects
For each program on your list: password alone, or with a second factor.
Supply Chain Security
Write down who works for you
A list of your suppliers and service providers.
Quanto costa il percorso guidato
4800 € netti all'anno, più IVA
Rimborso entro 30 giorniCon fattura, da pagare entro 30 giorni. Annullamento entro i primi 30 giorni: fattura annullata o rimborso.
Implementazione guidata della NIS 2, passo dopo passo
Una cronologia di modifiche e approvazioni da mostrare alla tua autorità di vigilanza
Scadenze e promemoria per ogni requisito
Questionario di sicurezza per i tuoi fornitori
Esportazione in PDF o CSV in qualsiasi momento
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
